Handy auf Spyware prüfen lassen: Was sich forensisch wirklich feststellen lässt

Der Verdacht entsteht oft nicht wegen einer technischen Fehlermeldung.

Eine andere Person kennt plötzlich Informationen, die eigentlich privat sein sollten. Der eigene Standort scheint bekannt zu sein. Inhalte aus Nachrichten werden angesprochen, obwohl niemand Zugriff darauf haben sollte. Oder auf dem Smartphone erscheinen Apps, Einstellungen oder Sicherheitsmeldungen, die sich nicht erklären lassen.

Dann liegt der Gedanke nahe:

Wird mein Handy überwacht?

Diese Frage sollte weder vorschnell bestätigt noch als unbegründet abgetan werden.

Spyware und sogenannte Stalkerware existieren tatsächlich und werden auch im privaten Umfeld eingesetzt. Gleichzeitig gibt es zahlreiche andere Möglichkeiten, wie eine dritte Person Zugriff auf Informationen erhalten kann, ohne dass klassische Spionagesoftware auf dem Smartphone installiert ist.

Eine forensische Untersuchung versucht deshalb nicht, einen bereits bestehenden Verdacht zu bestätigen.

Sie untersucht, ob sich technische Hinweise auf eine Überwachung, einen fremden Zugriff oder eine Kompromittierung des Smartphones finden lassen.

Was bedeutet Spyware auf einem Smartphone?

Unter Spyware versteht man grundsätzlich Software, die Informationen eines Gerätes sammelt und diese für eine andere Person oder Stelle zugänglich macht.

Welche Daten betroffen sein können, hängt stark von der jeweiligen Software und den vorhandenen Berechtigungen ab.

Denkbar sind beispielsweise:

• Standortinformationen

• Kontakte

• Anrufinformationen

• Nachrichten

• Fotos und Dateien

• Informationen über die Nutzung bestimmter Apps

• weitere auf dem Gerät gespeicherte oder verarbeitete Daten

Eine besondere Form ist sogenannte Stalkerware.

Dabei handelt es sich häufig um kommerziell erhältliche Software, die gezielt dazu eingesetzt wird, eine andere Person zu überwachen. Besonders häufig wird dieses Thema im Zusammenhang mit Partnern oder ehemaligen Partnern diskutiert.

Die Coalition Against Stalkerware weist darauf hin, dass solche Programme oft voraussetzen, dass die überwachende Person zumindest zeitweise physischen Zugriff auf das Gerät hatte und dieses entsperren konnte.

Das ist ein wichtiger Unterschied zu der Vorstellung, ein Angreifer müsse dafür zwingend aus der Ferne in das Smartphone „hacken“.

Nicht jede heimliche Überwachung ist Spyware

Bei einer technischen Untersuchung darf der Blick nicht ausschliesslich auf installierte Schadsoftware gerichtet sein.

Angenommen, eine andere Person kennt regelmässig Ihren Standort.

Eine mögliche Ursache wäre eine entsprechende Überwachungs-App.

Es könnte aber genauso eine weiterhin aktive Standortfreigabe vorhanden sein.

Ähnlich verhält es sich bei Nachrichten.

Wenn ein fremdes Gerät weiterhin mit einem Kommunikationsdienst verknüpft ist oder jemand Zugriff auf ein Google- beziehungsweise Apple-Konto besitzt, können Informationen unter Umständen eingesehen werden, ohne dass auf dem Smartphone selbst eine Spyware installiert wurde.

Weitere mögliche Ursachen können sein:

• verknüpfte Geräte

• fremde Kontozugriffe

• Standortfreigaben

• Fernwartungssoftware

• Konfigurationsprofile

• VPN-Verbindungen

• ungewöhnliche App-Berechtigungen

• Geräteverwaltungsfunktionen

Aus Sicht des Betroffenen fühlt sich all das möglicherweise gleich an:

„Jemand weiss Dinge, die er nicht wissen dürfte.“

Technisch können dahinter jedoch vollkommen unterschiedliche Ursachen stehen.

Welche Anzeichen können auf Spyware hindeuten?

Im Internet finden sich zahlreiche Listen mit angeblichen Warnzeichen.

Häufig genannt werden ein ungewöhnlich hoher Akkuverbrauch, starke Erwärmung, plötzlich zunehmender Datenverbrauch, unbekannte Apps oder ein auffälliges Verhalten des Smartphones.

Solche Beobachtungen können Anlass für eine nähere Prüfung sein.

Sie sind aber kein Beweis.

Ein Smartphone kann sich beispielsweise nach einem fehlerhaften App-Update stark erwärmen. Cloud-Dienste können unerwartet grosse Datenmengen übertragen. Ein alter Akku kann plötzlich deutlich schneller entladen werden.

Umgekehrt kann eine tatsächlich vorhandene Überwachungssoftware so unauffällig arbeiten, dass der Benutzer im Alltag kaum etwas davon bemerkt.

Deshalb lässt sich anhand solcher Symptome weder sicher feststellen noch sicher ausschliessen, dass eine Überwachung stattfindet.

Ein konkreter Verdacht ist hilfreicher als ein technisches Symptom

Für eine forensische Untersuchung ist häufig nicht entscheidend, ob das Smartphone warm wird oder der Akku schneller leer ist.

Wesentlich interessanter ist der Zusammenhang.

Ein Beispiel:

„Seit ungefähr drei Wochen weiss mein ehemaliger Partner wiederholt, wo ich mich aufhalte, obwohl ich ihm meinen Standort nicht mitteile.“

Oder:

„Eine Person hat Inhalte aus privaten Nachrichten angesprochen, auf die sie eigentlich keinen Zugriff haben dürfte.“

Solche Angaben helfen dabei, die Untersuchung einzugrenzen.

Besonders relevant können sein:

• seit wann der Verdacht besteht

• welche Informationen offenbar nach aussen gelangt sind

• ob jemand Zugriff auf das entsperrte Smartphone hatte

• ob bestimmte Ereignisse oder Daten besonders auffällig waren

• ob unbekannte Sicherheitsmeldungen aufgetreten sind

• ob sich das Verhalten eines Benutzerkontos verändert hat

Je genauer ein Zeitraum eingegrenzt werden kann, desto gezielter lassen sich vorhandene technische Spuren untersuchen.

Warum ein Virenscanner nicht dasselbe ist wie eine forensische Untersuchung

Ein aktueller Virenscanner kann bekannte Schadsoftware erkennen und ist ein wichtiger Bestandteil der allgemeinen Gerätesicherheit.

Eine forensische Smartphone-Untersuchung verfolgt jedoch einen anderen Ansatz.

Dabei wird nicht nur geprüft, ob eine Sicherheitssoftware eine bekannte Schadsoftware erkennt.

Abhängig vom jeweiligen Gerät können auch andere technische Informationen ausgewertet werden.

Dazu gehören beispielsweise installierte Anwendungen, deren Herkunft, Berechtigungen, Systeminformationen, Profile und andere vorhandene Artefakte.

Auch zeitliche Zusammenhänge können wichtig sein.

Wenn der Kunde beispielsweise einen konkreten Zeitraum nennt, kann geprüft werden, ob sich in den zugänglichen Daten rund um diesen Zeitpunkt Veränderungen nachvollziehen lassen.

Die eigentliche Arbeit besteht daher nicht nur im automatisierten Scannen.

Entscheidend ist die anschliessende fachliche Bewertung.

Wie läuft eine forensische Untersuchung ab?

Zunächst wird der konkrete Sachverhalt aufgenommen.

Wir möchten wissen, warum der Verdacht entstanden ist und welche Fragestellung beantwortet werden soll.

Danach wird geprüft, welche Untersuchungsmöglichkeiten beim betreffenden Smartphone bestehen.

Diese können sich je nach Hersteller, Modell, Betriebssystemversion und Sicherheitszustand erheblich unterscheiden.

Wenn das Gerät zugänglich und entsperrbar ist, werden die technisch verfügbaren forensischen Daten gesichert und anschliessend analysiert.

Für diese Analyse können professionelle Forensiksysteme sowie spezialisierte Werkzeuge zur Untersuchung von Smartphone-Daten eingesetzt werden.

Dabei geht es unter anderem darum, vorhandene technische Spuren zu erkennen und in ihrem Zusammenhang zu bewerten.

Was sind sogenannte Indicators of Compromise?

Bei der Untersuchung bekannter Spyware-Angriffe spielen sogenannte Indicators of Compromise, kurz IOC, eine wichtige Rolle.

Dabei handelt es sich um technische Merkmale, die bereits aus bekannten Angriffen bekannt sind.

Das können beispielsweise Domains, Dateien, Prozesse oder andere charakteristische Artefakte sein.

Solche Informationen können mit Daten aus einem Smartphone abgeglichen werden.

Ein bekanntes Werkzeug dafür ist das Mobile Verification Toolkit, kurz MVT, das vom Security Lab von Amnesty International entwickelt und gemeinsam mit weiteren Beteiligten gepflegt wird.

Für Android steht zusätzlich Android Quick Forensics, kurz AndroidQF, zur Verfügung.

Amnesty beschreibt MVT und AndroidQF auch 2026 weiterhin als zentrale Open-Source-Werkzeuge für einvernehmliche mobile Forensikuntersuchungen.

Solche Werkzeuge können wertvolle Hinweise liefern.

Sie haben jedoch Grenzen.

Warum ein negativer Test keine hundertprozentige Entwarnung bedeutet

Das ist einer der wichtigsten Punkte bei einer seriösen Smartphone-Forensik.

Wenn bei einer Untersuchung keine bekannten Spyware-Indikatoren gefunden werden, kann daraus nicht abgeleitet werden:

„Dieses Smartphone wurde definitiv niemals überwacht.“

Das wäre technisch nicht korrekt.

Dafür gibt es mehrere Gründe.

Manche Systeminformationen werden nur für begrenzte Zeit gespeichert.

Andere Daten können bereits gelöscht oder überschrieben worden sein.

Nicht jeder Bereich eines modernen Smartphones ist vollständig zugänglich.

Und neue oder individuell entwickelte Angriffsmethoden können existieren, bevor entsprechende Erkennungsmerkmale bekannt sind.

Auch Amnesty weist darauf hin, dass selbst spezialisierte Werkzeuge nicht zwangsläufig die neuesten hochentwickelten Spyware-Varianten erkennen können, wenn entsprechende technische Indikatoren nicht bekannt oder nicht öffentlich verfügbar sind.

Ein negatives Ergebnis sollte daher beispielsweise so formuliert werden:

„In den untersuchten und zugänglichen Daten wurden keine technischen Hinweise auf bekannte Überwachungssoftware oder eine erkennbare Kompromittierung festgestellt.“

Das ist etwas anderes als eine uneingeschränkte Garantie.

Was ist mit Pegasus und ähnlicher Spyware?

Pegasus ist durch zahlreiche internationale Berichte bekannt geworden.

Dadurch entsteht bei Privatpersonen verständlicherweise schnell der Eindruck, dass eine ungewöhnliche Beobachtung auf dem Smartphone möglicherweise mit einer solchen hochentwickelten Spyware zusammenhängt.

Diese Fälle müssen jedoch von gewöhnlicher Stalkerware unterschieden werden.

Apple beschreibt sogenannte Mercenary-Spyware-Angriffe als aussergewöhnlich aufwendig und teuer. Sie richten sich laut Apple nur gegen eine sehr kleine Zahl gezielt ausgewählter Personen. Typische Zielgruppen sind unter anderem Journalisten, Aktivisten, Politiker und Diplomaten. Die grosse Mehrheit der Benutzer wird niemals Ziel eines solchen Angriffs.

Das bedeutet nicht, dass solche Angriffe ignoriert werden können.

Es bedeutet lediglich, dass bei einer typischen privaten Anfrage zunächst wesentlich naheliegendere Szenarien untersucht werden sollten.

Apple-Bedrohungsbenachrichtigungen sollten ernst genommen werden

Apple verfügt über ein eigenes System zur Warnung von Benutzern, bei denen Hinweise auf einen gezielten Angriff mit sogenannter Söldner-Spyware festgestellt wurden.

Apple gibt an, seit 2021 Benutzer in insgesamt mehr als 150 Ländern entsprechend benachrichtigt zu haben. Seit 2026 können diese Hinweise direkt auf dem iPhone, per E-Mail und im Apple Account angezeigt werden.

Wenn Sie eine echte Apple-Bedrohungsbenachrichtigung erhalten haben, sollten Sie dies bei einer Anfrage unbedingt erwähnen.

Ein solcher Fall unterscheidet sich erheblich von einem allgemeinen Verdacht auf Stalkerware.

Was ist bei Android besonders relevant?

Android ermöglicht Anwendungen je nach erteilten Rechten teilweise weitreichende Zugriffe.

Bei einer Untersuchung können deshalb beispielsweise Apps aus unbekannten Quellen, ungewöhnliche Berechtigungen oder bestimmte Systemfunktionen relevant sein.

Interessant sind unter anderem:

• installierte Apps

• Installationsquellen

• Accessibility- beziehungsweise Bedienungshilfen

• Geräteverwaltungsrechte

• VPN-Verbindungen

• besondere App-Berechtigungen

• weitere sicherheitsrelevante Konfigurationen

Für Android können spezialisierte Werkzeuge zusätzliche diagnostische und forensische Informationen erfassen.

AndroidQF kann solche Daten sammeln, die anschliessend unter anderem mit MVT gegen bekannte Indicators of Compromise geprüft werden können.

Was ist bei einem iPhone anders?

iOS besitzt eine deutlich stärker abgeschottete Sicherheitsarchitektur.

Dadurch sind klassische Überwachungs-Apps schwieriger umzusetzen als auf vielen Android-Geräten.

Eine Überwachung ist dadurch aber nicht grundsätzlich ausgeschlossen.

Je nach Fall können beispielsweise vorhandene Backups, Konfigurationsprofile, Systeminformationen und weitere technische Artefakte untersucht werden.

Zusätzlich sollte auch der Apple Account berücksichtigt werden.

Denn auch beim iPhone gilt:

Nicht jeder unbefugte Zugriff muss durch eine App auf dem Gerät verursacht worden sein.

Was passiert, wenn tatsächlich etwas gefunden wird?

Ein technischer Fund muss bewertet werden.

Nicht jede unbekannte App ist automatisch Spyware.

Nicht jede ungewöhnliche Netzwerkverbindung ist automatisch ein Angriff.

Und nicht jeder automatisierte Treffer ist ein belastbarer Beweis.

Werden verdächtige Artefakte festgestellt, müssen sie daher in ihrem Zusammenhang betrachtet werden.

Das Ergebnis kann unterschiedlich ausfallen.

Es können klare Hinweise auf eine Überwachungssoftware vorhanden sein.

Es kann eine sicherheitsrelevante Konfiguration oder ein fremder Zugriff festgestellt werden.

Es können Auffälligkeiten vorhanden sein, die sich nicht eindeutig erklären lassen.

Oder es werden in den untersuchten Daten keine entsprechenden technischen Hinweise gefunden.

Alle diese Ergebnisse sind möglich.

Kann festgestellt werden, wer die Spyware installiert hat?

Nicht automatisch.

Der Nachweis einer Überwachungs-App beweist zunächst nur, dass entsprechende technische Spuren vorhanden sind.

Die Frage, welche Person die Software installiert oder einen fremden Zugriff eingerichtet hat, ist eine separate Fragestellung.

Dafür müssen entsprechende Belege vorhanden sein.

Eine seriöse forensische Untersuchung sollte deshalb keine Person allein aufgrund eines technischen Verdachts beschuldigen.

Eine verdächtige App sollte nicht vorschnell gelöscht werden

Wenn eine Untersuchung geplant ist, kann das Löschen einer App problematisch sein.

Dadurch können genau die technischen Spuren verloren gehen, die später für die Analyse benötigt werden.

Bei Stalking- oder Missbrauchssituationen kommt ein weiterer Punkt hinzu.

Die Coalition Against Stalkerware warnt davor, dass das Entfernen einer Überwachungssoftware für die überwachende Person möglicherweise erkennbar ist. Dadurch kann sich in bestimmten Situationen ein zusätzliches persönliches Sicherheitsrisiko ergeben.

Wenn eine unmittelbare persönliche Gefährdung besteht, hat die Sicherheit der betroffenen Person selbstverständlich Vorrang vor einer späteren technischen Beweissicherung.

In solchen Situationen sollte Hilfe möglichst über ein anderes, vertrauenswürdiges Gerät gesucht werden.

Smartphone vor der Untersuchung nicht zurücksetzen

Wer herausfinden möchte, ob eine Überwachung stattgefunden hat, sollte das Smartphone vorher möglichst nicht auf Werkseinstellungen zurücksetzen.

Ein solcher Reset kann vorhandene Schadsoftware beseitigen.

Er kann aber gleichzeitig genau die Informationen löschen, die für die spätere Untersuchung benötigt werden.

Das Gleiche gilt für umfangreiche Bereinigungsprogramme oder eigenständige Veränderungen an verdächtigen Anwendungen.

Wenn eine technische Untersuchung geplant ist, sollte das Gerät deshalb möglichst im aktuellen Zustand belassen werden.

Werden persönliche Daten bei der Untersuchung eingesehen?

Ein modernes Smartphone enthält sehr persönliche Informationen.

Dazu gehören unter anderem Kommunikation, Fotos, Kontakte und möglicherweise Standortinformationen.

Eine forensische Untersuchung sollte deshalb immer auf die konkrete Fragestellung beschränkt werden.

Ziel ist nicht, private Inhalte ohne Grund zu durchsuchen.

Untersucht werden die Informationen, die benötigt werden, um den technischen Sachverhalt möglichst nachvollziehbar zu beurteilen.

Wenn bestimmte Zeiträume, Kommunikationsdaten oder andere Inhalte für die Fragestellung relevant sind, kann eine gezielte Auswertung notwendig werden.

Ist eine solche Untersuchung gerichtsfest?

Eine technische Sicherheitsprüfung und eine forensische Beweissicherung für ein späteres Gerichtsverfahren sind nicht automatisch identisch.

Wenn bereits vor Beginn bekannt ist, dass das Ergebnis möglicherweise für ein Straf- oder Zivilverfahren benötigt wird, sollte dies unbedingt mitgeteilt werden.

Dann kann geprüft werden, welche zusätzlichen Anforderungen an die Sicherung, Dokumentation und Nachvollziehbarkeit sinnvoll sind.

Eine solche Information erst nach Abschluss der Untersuchung zu erhalten, kann problematisch sein.

Was kostet eine forensische Untersuchung eines Smartphones in der Schweiz?

Der Aufwand einer Smartphone-Untersuchung ist nicht bei jedem Gerät identisch.

Entscheidend sind unter anderem das Smartphone-Modell, das Betriebssystem, die verfügbaren Zugriffsmöglichkeiten und die konkrete Fragestellung.

Für die typische forensische Untersuchung eines entsperrbaren Smartphones auf Spyware, Stalkerware oder Hinweise auf unbefugte Zugriffe liegen die Kosten erfahrungsgemäss bei etwa 700 bis 1'000 CHF inklusive MwSt.

Bei besonders umfangreichen Untersuchungen kann der Aufwand höher sein.

Das kann beispielsweise bei mehreren Geräten, sehr komplexen Fragestellungen oder zusätzlichen Anforderungen an eine forensische Beweissicherung der Fall sein.

Wichtig ist:

Die Kosten entstehen für die durchgeführte Untersuchung.

Wenn keine Spyware gefunden wird, bedeutet dies daher nicht, dass die Untersuchung erfolglos war.

Auch die Feststellung, dass in den untersuchten Daten keine entsprechenden technischen Hinweise gefunden wurden, ist ein relevantes Ergebnis.

Welche Informationen sollten Sie uns mitteilen?

Sie müssen selbst keine technische Diagnose stellen.

Schreiben Sie uns möglichst einfach, warum der Verdacht entstanden ist.

Hilfreich sind beispielsweise Angaben dazu:

• wann die Auffälligkeiten erstmals begonnen haben

• welche Informationen eine andere Person offenbar kennt

• ob jemand Zugriff auf das entsperrte Smartphone hatte

• ob Sicherheitsmeldungen erschienen sind

• ob ein bestimmter Zeitraum besonders relevant ist

Im Normalfall sollte sich das Smartphone noch einschalten lassen und mit dem bekannten PIN beziehungsweise Sperrcode entsperrt werden können.

Moderne Smartphones verschlüsseln einen grossen Teil ihrer Daten. Ohne Entsperrmöglichkeit können die Untersuchungsmöglichkeiten erheblich eingeschränkt sein.

Smartphone in der Schweiz auf Spyware untersuchen lassen

Wenn Sie vermuten, dass Ihr Smartphone überwacht wird, können Sie das Gerät von uns technisch und forensisch untersuchen lassen.

Vor Beginn prüfen wir, welche Untersuchungsmöglichkeiten bei Ihrem Smartphone bestehen und welcher Umfang für die geschilderte Fragestellung sinnvoll ist.

Für typische Untersuchungen eines entsperrbaren Smartphones liegen die Kosten erfahrungsgemäss bei etwa 700 bis 1'000 CHF inklusive MwSt.

Den Fall können Sie hier anmelden:

https://www.datenrettung-swiss.ch/analyze.php

Beschreiben Sie im Bemerkungsfeld bitte kurz, warum Sie eine Überwachung vermuten. Wenn ein bestimmter Zeitraum oder ein konkretes Ereignis relevant ist, geben Sie dies ebenfalls an.